Gebruikers van Zimbra-webmail zijn het doelwit van cross-site scripting (XSS)-aanvallen waarbij wordt geprobeerd om e-mails en andere informatie te stelen, zo waarschuwen de AIVD, MIVD en inlichtingendiensten en cyberagentschappen uit meer dan vijftien verschillende landen. Een beveiligingsupdate voor het gebruikte XSS-lek is al sinds november vorig jaar beschikbaar. Het CVE-nummer werd begin dit jaar gepubliceerd. Toch blijven aanvallers misbruik van de kwetsbaarheid maken.

Zimbra is een collaborative software suite die onder andere mailserversoftware en een webmailclient bevat. De software zou door meer dan 200.000 organisaties wereldwijd worden gebruikt. De misbruikte kwetsbaarheid, aangeduid als CVE-2025-66376, maakt cross-site scripting mogelijk. Dit is een beveiligingsprobleem dat al decennia bekend is en ervoor zorgt dat aanvallers malafide code op een kwetsbare website of webapplicatie kunnen 'injecteren' die vervolgens in de browser van gebruikers wordt uitgevoerd. Zo is het bijvoorbeeld mogelijk om cookies te stelen en toegang tot een account te krijgen.

In het geval van CVE-2025-66376 versturen aanvallers speciaal geprepareerde HTML-mails. Zodra het doelwit de mail in een kwetsbare webmailclient opent wordt er willekeurige JavaScript in de webmailsessie van het slachtoffer uitgevoerd. Zo is het bijvoorbeeld mogelijk voor een aanvaller om een filter in te stellen waardoor berichten naar een e-mailadres van de aanvaller worden doorgestuurd. Daarnaast kan de aanvaller ook aanwezige e-mail stelen.

Bij de aanvallen stelen de aanvallers alle e-mailcommunicatie van het slachtoffer van de afgelopen 90 dagen, alsmede de Global Address List (GAL) van de organisatie, tweefactorauthenticatie (2FA) tokens, nieuw gecreëerde wachtwoorden en 'autocomplete wachtwoord'. Zo proberen de aanvallers toegang tot het account te behouden. Volgens de inlichtingendiensten zijn overheden, onderwijsinstellingen, mediabedrijven, NGO's, techbedrijven, opsporingsdiensten en energie- en defensiebedrijven gehackt.

Volgens de AIVD en MIVD zijn de XSS-aanvallen het werk van een aan Rusland gelieerde groep genaamd Laundry Bear, die spionage als doel heeft. Naast de Nederlandse inlichtingendiensten is de waarschuwing ook ondertekend door cyberagentschappen en inlichtingendiensten uit de Verenigde Staten, Australië, Canada, Nieuw-Zeeland, Verenigd Koninkrijk, Tsjechië, Denemarken, Estland, Finland, Frankrijk, Italië, Moldavië, Polen, Spanje en Zweden.